싱가포르의 생성형 AI 가이드라인 제안은 마케팅팀이 고객 데이터를 쓰는 목적을 더 세밀하게 확인하고, 데이터가 캠페인에 들어온 뒤 어떻게 관리되는지 설명하도록 요구할 수 있습니다. 거래 내역이나 시청 기록을 활용해 타깃팅을 고도화하는 데서 그치지 않고, 어떤 데이터를 왜 쓰며 누가 처리하는지까지 살펴야 한다는 뜻입니다.
1
2
기존 동의가 AI 활용까지 포함하는지 확인
일반적인 마케팅이나 분석 목적에 동의받았다고 해서 그 동의가 개인 데이터를 AI 모델 개발·학습에 쓰거나 서비스를 개인화하는 데까지 자동으로 적용된다고 단정해서는 안 됩니다. 기업은 기존 고지 내용과 동의 기록이 계획 중인 AI 활용 목적을 충분히 설명하는지 검토해야 할 수 있습니다.
1
2
특히 모델을 개발하거나 학습하는 데 쓰는 것과, 특정 제품이나 서비스를 제공하기 위해 데이터를 처리하는 것은 구분할 필요가 있습니다. 고객이 어떤 목적으로 정보가 쓰이는지 알 수 있도록 AI 관련 고지를 더 구체화하는 방안이 제시되고 있습니다.
1
2
포괄적인 개인정보 처리방침만으로는 부족할 수 있어
긴 개인정보 처리방침을 한 번 제시하는 것만으로 특정 AI 활용 방식이 고객에게 명확히 전달된다고 보기 어려울 수 있습니다. 제안된 접근은 개인정보가 AI 시스템에 입력되는 시점과, 그 정보가 모델 학습에 쓰이는지 아니면 서비스 제공에 이용되는지 설명하는 관련 고지를 강조합니다.
1
2
싱가포르에는 AI 추천·의사결정 시스템에서 개인 데이터를 사용하는 경우를 다루는 별도 지침도 있습니다. 해당 지침은 의미 있는 동의를 위해 데이터 수집 시점에 관련 정보를 제공하도록 권고하며, 사업 개선이나 연구 목적 등 싱가포르 개인정보보호법(PDPA)의 동의 예외도 인정합니다. 이는 여기서 다루는 생성형 AI 가이드라인 제안과는 별개의 체계입니다.
9
외부 AI 업체를 써도 브랜드 책임은 남는다
AI 개발사나 플랫폼, 데이터 처리 업체에 업무를 맡겼다고 해서 브랜드의 데이터 관리 책임이 사라지는 것은 아닙니다. 외부 업체에서 사이버 공격이 발생하면 브랜드가 마련한 보호조치와 업체 감독도 규제 당국의 검토 대상이 될 수 있습니다. 업체 과실에 대한 계약상 배상은 금전적 구제 수단이 될 수 있지만, 규제상 책임을 대신하지는 않습니다.
1
2
따라서 마케팅 캠페인을 준비할 때부터 협력업체가 고객 데이터를 어떻게 처리하는지, 어떤 보호조치를 갖췄는지 확인하고 계약상 역할과 책임을 분명히 하는 일이 중요해질 수 있습니다.
1
2
캠페인이 끝난 뒤의 보유·삭제도 살펴야
데이터 관리 업무는 캠페인 종료와 함께 끝나지 않습니다. 고객 정보와 AI가 생성한 인사이트를 얼마나 보유할지, 언제 폐기할지, 삭제가 안전하게 이뤄지는지 검토해야 할 수 있습니다. 외부 업체가 정보를 처리했다면 그 데이터의 삭제 과정도 확인 대상입니다.
1
2
요컨대 제안된 기대 수준이 현실화되면 동의 검토와 고객 고지, 외부업체 감독, 보안, 데이터 폐기에 드는 업무가 늘어날 수 있습니다. 캠페인 성과뿐 아니라 이를 뒷받침한 고객 데이터의 출처와 처리 과정까지 설명하고 관리하는 일이 마케팅의 일부가 되는 셈입니다.
1
2
이는 라자 앤 탄 싱가포르의 기술·미디어·통신 부문 부대표 스티브 탄이 설명한 제안 가이드라인의 잠재적 영향을 요약한 것입니다. 모든 AI 활용에 새롭고 명시적인 동의가 반드시 필요하다는 확정적 설명으로 받아들여서는 안 됩니다. 실제 적용 요건은 관련 개인정보 보호 체계와 구체적인 데이터 이용 목적에 따라 달라집니다.
1
2
9